드웰 타임(Dwell Time)
포스팅 뷰1009
드웰 타임(Dwell Time)이란 무엇일까요?
- 정의 — 공격자가 침입한 시점부터 그 침입이 탐지될 때까지 걸린 시간입니다.
- 핵심 의미 — 드웰 타임이 길수록 공격자가 내부에 머물며 피해를 키울 시간이 늘어납니다.
- 목표 — 탐지·대응 역량을 높여 드웰 타임을 최대한 짧게 줄이는 것입니다.
드웰 타임이란 침입 발생 시점부터 탐지까지 걸린 시간으로, 보안 탐지 역량을 보여 주는 핵심 지표를 말합니다.
드웰 타임이란?
드웰 타임(Dwell Time, 체류 시간)은 공격자가 시스템에 침입한 시점부터 그 침입이 탐지되기까지 걸린 시간을 말합니다. 보안 사고를 평가할 때 '얼마나 빨리 알아챘는가'를 보여 주는 핵심 지표입니다.
드웰 타임이 길다는 것은 공격자가 오랫동안 들키지 않고 내부에 머물렀다는 뜻입니다. 그 사이 공격자는 권한을 확대하고, 데이터를 탐색하며, 랜섬웨어를 퍼뜨릴 시간을 법니다. 특히 APT(지능형 지속 위협)는 수개월씩 잠복하기도 합니다. 따라서 보안의 목표는 침입을 100% 막는 것뿐 아니라, 침입을 빨리 탐지해 드웰 타임을 줄이는 것입니다.
드웰 타임은 어떻게 흘러가나요?
하나의 침해 사고는 시간 순서로 다음과 같이 전개됩니다.
- 침입 — 공격자가 시스템에 들어와 잠복을 시작합니다.
- 잠복·확산 — 들키지 않고 권한을 넓히며 내부를 탐색합니다.
- 탐지 — 이상 행위가 포착되어 침입 사실이 드러납니다.
- 대응 — 격리·차단으로 공격을 끊고 피해를 수습합니다.
외부 위협 가시성 개념 비교
최근 보안은 '외부에서 우리가 어떻게 보이는가'와 '얼마나 빨리 알아채는가'를 함께 살핍니다.
| 구분 | ASM | DRP | OSINT | 드웰 타임 |
|---|---|---|---|---|
| 무엇 | 노출된 자산 발견·관리 | 외부·다크웹 위협 감시 | 공개 정보 수집·분석 | 침입~탐지까지 걸린 시간 |
| 성격 | 자산 가시성 | 위협 모니터링 | 정보 수집 기법 | 탐지 속도 지표 |
| 핵심 질문 | 어디까지 노출됐나? | 밖에서 우리가 어떻게 쓰이나? | 공개된 단서는? | 얼마나 빨리 알아챘나? |
드웰 타임, 어떻게 줄이나요?
- 지속 모니터링 — 단말·네트워크 행위를 상시 감시해 이상 징후를 빨리 잡습니다.
- 로그·이력 관리 — 행위 기록이 충분해야 침입을 빠르게 식별할 수 있습니다.
- 탐지·대응 자동화 — 경보부터 격리까지 신속히 이어 대응 시간을 단축합니다.
- 훈련·체계 — 사고 대응 절차를 미리 갖춰 탐지 후 혼선을 줄입니다.
드웰 타임을 줄이려면 평소의 '기록'이 중요합니다. 오피스키퍼는 PC 사용이력과 매체·파일 반출 로그를 남겨, 내부에서 시작된 이상 정황을 빠르게 확인하고 사고 원인을 추적하는 데 도움을 줍니다.
자주 묻는 질문
Q. 드웰 타임이 길면 왜 위험한가요?
A. 공격자가 그 시간만큼 내부를 자유롭게 돌아다니기 때문입니다. 권한 확대, 데이터 탈취, 랜섬웨어 확산 등 피해가 누적돼 사고 규모가 커집니다.
Q. 침입을 100% 막으면 되지 않나요?
A. 완벽한 차단은 현실적으로 어렵습니다. 그래서 '뚫릴 수 있다'를 전제로, 빨리 탐지해 드웰 타임을 줄이는 탐지·대응 역량이 함께 강조됩니다.
Q. APT와는 어떤 관계인가요?
A. APT는 오랜 기간 잠복하는 공격이라 드웰 타임이 길어지기 쉽습니다. APT 대응의 핵심 목표 중 하나가 바로 이 체류 시간을 단축하는 것입니다.
Q. 드웰 타임은 어떻게 측정하나요?
A. 사고 분석에서 '최초 침입 추정 시점'과 '탐지 시점'의 차이로 계산합니다. 정확한 측정을 위해서는 평소 충분한 로그와 이력이 남아 있어야 합니다.
Q. 무엇이 드웰 타임을 줄이는 데 가장 중요한가요?
A. '가시성'입니다. 단말·네트워크·사용 이력이 잘 보일수록 이상을 빨리 알아챕니다. 모니터링과 로그 관리가 드웰 타임 단축의 토대입니다.
기업 내부 정보 유출, 오피스키퍼로 막으세요.
제품소개서 신청하기